Apple a publié iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 et watchOS 27 le 14 septembre 2026. Pour une entreprise équipée de Jamf, la première question n’est pourtant pas de savoir quelles nouveautés les utilisateurs vont découvrir. Elle est beaucoup plus concrète : la chaîne de gestion fonctionne-t-elle encore de bout en bout sur OS 27 ?
Un tableau de bord Jamf accessible, des appareils qui remontent encore dans l’inventaire ou la mention « compatible » dans une note de version ne suffisent pas. Avec OS 27, Apple durcit les exigences de sécurité réseau et abandonne plusieurs anciens mécanismes de mise à jour MDM. Les défaillances possibles touchent précisément les opérations dont on suppose qu’elles sont acquises : enrôler un Mac neuf, installer un profil, distribuer une application ou imposer une mise à jour.
La bonne approche consiste donc à construire un contrôle avant déploiement, avec des appareils pilotes et des preuves observables. Voici ce qu’il faut vérifier dans un environnement Jamf.
La réponse courte : Jamf est prêt, mais votre environnement ne l’est pas automatiquement
Jamf Pro 11.32 apporte la compatibilité avec les plateformes Apple 27 et prend en charge de nouveaux attributs d’inventaire déclaratifs. Jamf Protect 8.20 annonce également sa compatibilité avec macOS 27. C’est une base nécessaire, pas une validation de votre parc.
Les notes Jamf précisent que ces compatibilités ont été établies à partir des dernières versions bêta d’Apple. Surtout, elles ne peuvent pas tester vos dépendances : proxy d’entreprise, fournisseur d’identité, autorité de certification, point de distribution, scripts, paquets, applications internes ou groupes intelligents construits autour d’anciennes commandes.
Avant d’ouvrir OS 27 à tous, il faut donc valider quatre parcours critiques :
- l’enrôlement automatisé d’un appareil neuf ou réinitialisé ;
- l’installation et le renouvellement des profils et certificats ;
- l’installation réelle des applications obligatoires et en libre-service ;
- la déclaration, l’acceptation et l’exécution des mises à jour logicielles.
Si l’un de ces parcours n’est pas testé, le déploiement reste une hypothèse.
OS 27 change le contrat entre l’appareil et le MDM
Deux changements structurants expliquent pourquoi une validation spécifique est nécessaire.
Des connexions TLS plus strictes
Apple indique que les systèmes 27 peuvent refuser une connexion vers un serveur qui ne respecte pas les exigences actuelles de TLS et d’App Transport Security, ou ATS. Le périmètre ne se limite pas à la console MDM : il couvre aussi la gestion déclarative, l’enrôlement automatisé, l’installation de profils, les applications d’entreprise et les mises à jour logicielles.
Les serveurs concernés doivent notamment accepter TLS 1.2 au minimum, proposer des suites cryptographiques conformes à ATS et présenter des certificats valides. TLS 1.3 est à privilégier. Un ancien chiffrement, une chaîne de certificats incomplète, une redirection HTTP ou un équipement d’inspection TLS mal configuré peuvent donc casser un parcours qui fonctionnait encore sous OS 26.
Avec Jamf Cloud, une partie de l’infrastructure est opérée par Jamf. Cela ne dispense pas de contrôler les autres maillons de l’entreprise : proxy, authentification, PKI, dépôt de paquets, application interne, service intermédiaire ou URL appelée par un script. Dans un environnement Jamf Pro hébergé sur site, le frontal, les certificats et les éventuels répartiteurs de charge entrent aussi dans le périmètre.
Apple recommande de tester les combinaisons réellement représentatives — production, préproduction, types d’appareils, modes d’enrôlement et rôles — puis de collecter les diagnostics réseau. Sur OS 27, une connexion non conforme peut être bloquée avant que les étapes suivantes ne démarrent. Il faut donc rechercher la première rupture, pas seulement constater que « l’enrôlement reste bloqué ».
Les anciennes commandes de mise à jour ne fonctionnent plus
Sur les plateformes 27, Apple retire le fonctionnement des anciennes commandes et restrictions MDM dédiées aux mises à jour logicielles. Cela concerne notamment les commandes historiques de mise à jour, certaines requêtes de disponibilité, les réglages de cadence recommandée et plusieurs restrictions de report.
Apple demande désormais d’utiliser la gestion déclarative des mises à jour logicielles. Cette évolution est importante : l’appareil reçoit une déclaration d’état attendu, agit localement et remonte son statut. Le MDM n’est plus seulement une console qui envoie ponctuellement une commande impérative.
Pour une équipe Jamf, le risque n’est pas uniquement qu’un bouton disparaisse. Un groupe intelligent, un script ou une automatisation peut encore dépendre d’une donnée devenue obsolète. Jamf avertit que certains workflows reposant sur les anciens mécanismes peuvent échouer silencieusement ou renvoyer des informations périmées.
Ce que Jamf Pro 11.32 apporte pour OS 27
Jamf Pro 11.32 ajoute la prise en charge des nouvelles versions Apple et exploite plusieurs statuts déclaratifs disponibles en temps réel. Selon la plateforme, l’administrateur peut notamment retrouver :
- le type d’enrôlement Apple ;
- l’état « en attente de configuration » ;
- le statut de retour en service ;
- l’état de santé système sur iPhone et iPad ;
- l’activation du mode Isolement sur les appareils supervisés compatibles.
Ces informations améliorent le diagnostic. Par exemple, elles permettent de distinguer un appareil bien enrôlé d’un appareil qui n’a jamais terminé sa phase de configuration. Mais leur présence ne doit pas devenir une nouvelle preuve trompeuse : un statut correctement remonté ne garantit pas que les applications métier ont été installées ou que l’utilisateur peut travailler.
La mise à niveau de Jamf Pro est donc le point de départ du contrôle. Il faut ensuite inventorier les extensions et services associés : Jamf Protect, Jamf Connect, Jamf Safe Internet, intégrations d’identité, connecteurs API, outils de conformité et agents tiers. Chacun possède son propre cycle de compatibilité.
Mises à jour : migrer les workflows Jamf vers les Blueprints
Dans Jamf Pro, la trajectoire recommandée pour OS 27 passe par les Blueprints de mises à jour logicielles, qui s’appuient sur la gestion déclarative d’Apple.
Les mécanismes historiques comme ScheduleOSUpdate, com.apple.SoftwareUpdate, forceDelayedSoftwareUpdates ou enforcedSoftwareUpdateDelay ont été retirés pour les systèmes 27. Les composants déclaratifs softwareupdate.enforcement.specific et softwareupdate.settings restent pris en charge, tout comme les Blueprints correspondants dans Jamf Pro.
Avant de migrer, il faut cartographier les règles actuelles :
- quelles politiques envoient une commande de mise à jour ;
- quels groupes intelligents s’appuient sur son résultat ;
- quelles API ou automatisations lisent un ancien statut ;
- quels reports sont imposés par profil ;
- quels utilisateurs ou appareils bénéficient d’une exception.
Attention également au Bootstrap Token sur les Mac Apple silicon : il doit être séquestré dans Jamf Pro pour permettre certaines mises à jour sans intervention. La configuration d’un Blueprint peut sembler correcte alors que l’appareil ne dispose pas du prérequis nécessaire pour aller au bout.
Une preuve acceptable ne se limite donc pas à « la déclaration a été envoyée ». Il faut pouvoir montrer que l’appareil l’a reçue, qu’il a téléchargé la bonne version, qu’il l’a installée dans la fenêtre prévue, qu’il a redémarré si nécessaire et qu’il remonte ensuite la version attendue.
Jamf Protect : vérifier l’agent, la télémétrie et la conformité
Pour les Mac protégés par Jamf Protect, la version 8.20 annonce la compatibilité avec macOS 27 pour les communications de l’extension système, l’analyse, la prévention des menaces, la télémétrie unifiée, le contrôle des supports amovibles et la visibilité sur les réglages de sécurité Apple.
Là encore, « agent installé » n’est pas une preuve suffisante. Sur le pilote macOS 27, vérifiez que :
- l’extension système est chargée ;
- l’agent communique avec le service cloud ;
- les événements et journaux attendus sont reçus ;
- une politique de prévention témoin produit le résultat prévu ;
- les contrôles de conformité affichent des données fraîches.
Un point de migration mérite une attention particulière : l’ancien Jamf Protect Compliance Baseline n’est pas compatible avec macOS 27. Jamf renvoie désormais vers les Compliance Benchmarks de Jamf Pro. Les organisations qui utilisent encore le mécanisme historique doivent traiter cette migration comme un chantier distinct, avec comparaison des règles et des exceptions.
Le contrôle avant déploiement, parcours par parcours
Un pilote utile ne consiste pas à mettre OS 27 sur le Mac de l’administrateur et à attendre quelques jours. Il reproduit les situations les plus sensibles du parc.
| Parcours | Test à réaliser | Preuve attendue |
|---|---|---|
| Enrôlement automatisé | Effacer un appareil rattaché à Apple Business Manager, puis refaire l’assistant de configuration | L’appareil trouve Jamf, termine l’enrôlement et quitte l’état d’attente de configuration |
| Profils et certificats | Installer un profil obligatoire, puis tester un renouvellement ou une nouvelle émission | Le profil est présent, le certificat est valide et le service associé fonctionne |
| Applications obligatoires | Déployer une application App Store et un paquet interne | Les deux applications sont installées, lançables et remontent avec la bonne version |
| Libre-service | Installer une application depuis Jamf Self Service+ | L’action aboutit et l’application est utilisable, sans dépendance manquante |
| Mise à jour déclarative | Cibler un Blueprint sur un appareil pilote | La déclaration est reçue, la mise à jour est exécutée et la version finale est inventoriée |
| Sécurité | Tester Jamf Protect et les contrôles de conformité | L’agent communique, les événements remontent et les statuts sont récents |
Ajoutez à cette matrice les différences qui existent réellement dans votre entreprise : Mac Apple silicon et Intel encore supportés par votre parc, iPhone supervisé ou BYOD, réseau interne ou externe, bureau distant, proxy, VPN, sites internationaux et profils utilisateurs distincts.
Plan d’action recommandé : valider Jamf en cinq étapes
1. Inventorier les versions et les dépendances
Relevez la version de Jamf Pro, le calendrier de mise à niveau de l’instance, les versions de chaque agent Jamf et les intégrations critiques. Listez aussi les URL et services appelés pendant l’enrôlement, l’installation des applications et la configuration de sécurité.
L’objectif est de disposer d’une chaîne lisible, pas d’une simple liste de produits.
2. Rechercher les mécanismes devenus obsolètes
Inspectez les politiques, profils, scripts, groupes intelligents et automatisations API qui concernent les mises à jour. Recherchez explicitement les anciennes commandes citées par Apple et Jamf. Documentez chaque dépendance avant de la remplacer par un Blueprint ou un composant déclaratif.
Contrôlez aussi les profils de confidentialité : Apple retire sous macOS 27 l’ancien usage de com.apple.TCC.configuration-profile-policy pour la gestion de l’accessibilité, déjà déprécié sous macOS 26.2. La configuration doit passer par les nouveaux réglages de gestion des applications.
3. Auditer les connexions TLS
Testez toutes les destinations nécessaires depuis un appareil représentatif et sur le réseau réellement utilisé. Le contrôle doit couvrir le MDM, les dépôts, les applications internes, l’identité et les intermédiaires réseau.
Apple propose un profil de journalisation des diagnostics réseau. Installez-le avant le test, exécutez les parcours habituels, puis collectez un sysdiagnose afin d’identifier les violations ATS. Comparez si nécessaire le comportement sous OS 26 et OS 27 : le premier peut encore signaler une faiblesse que le second bloque déjà.
4. Valider avec des résultats métier
Pour chaque test, définissez à l’avance un état final observable. Une commande Jamf terminée sans erreur ne vaut pas validation si l’application ne se lance pas. Un Mac présent dans l’inventaire ne vaut pas validation si FileVault, le VPN ou l’outil de sécurité ne sont pas opérationnels.
Conservez les heures de test, l’identifiant de l’appareil, la version de l’OS, le réseau utilisé et les captures ou journaux utiles. En cas d’échec, cette trace évite de recommencer le diagnostic à zéro.
5. Ouvrir progressivement le déploiement
Organisez des anneaux : équipe IT, utilisateurs pilotes, métiers volontaires, puis population générale. Définissez des critères d’arrêt mesurables, par exemple un échec d’enrôlement, une application obligatoire absente, une déclaration de mise à jour non exécutée ou une perte de télémétrie de sécurité.
L’ouverture générale ne doit intervenir qu’après un cycle complet, incluant au moins un appareil neuf ou effacé. Un parc déjà enrôlé ne teste pas le moment où les exigences TLS ont le plus de chances de bloquer la chaîne.
Checklist avant d’autoriser OS 27
- Jamf Pro est en version 11.32 ou dans une version ultérieure explicitement compatible.
- Les agents Jamf utilisés dans le parc disposent d’une version compatible OS 27.
- Les anciens workflows de mise à jour ont été inventoriés et remplacés.
- Les Blueprints ont été testés jusqu’à l’installation effective de la mise à jour.
- Le Bootstrap Token est bien séquestré pour les Mac Apple silicon concernés.
- Les parcours ADE ont été testés après effacement d’un appareil.
- Les profils, certificats et applications obligatoires s’installent réellement.
- Les serveurs et intermédiaires respectent TLS 1.2 au minimum et les exigences ATS.
- Les journaux Jamf Protect et les données de conformité sont récents après passage à macOS 27.
- Le déploiement est organisé par anneaux avec des critères d’arrêt documentés.
Ce qu’il faut retenir
OS 27 ne demande pas simplement de vérifier une matrice de compatibilité. Apple modifie deux fondations de l’administration moderne : la sécurité des connexions utilisées par le MDM et le mécanisme même des mises à jour logicielles.
Jamf Pro 11.32 fournit les briques nécessaires, notamment les nouveaux statuts déclaratifs et les Blueprints. Mais la qualité du passage à OS 27 dépend de vos workflows, de vos dépendances et des preuves collectées sur un pilote représentatif.
La question utile n’est donc pas « Jamf supporte-t-il OS 27 ? ». C’est : pouvons-nous enrôler, configurer, équiper, protéger et mettre à jour un appareil OS 27, sur nos réseaux, sans intervention imprévue ?
Si vous souhaitez transformer cette checklist en plan de validation adapté à votre parc, BoucheCousue peut auditer votre environnement Jamf, préparer le pilote et sécuriser votre stratégie de gestion de parc Apple. Parlons de votre déploiement OS 27.